Rettighetsproblemer på profilmappene win2k3

[darkness|]

Hei!

 

Jeg holder for tiden på å kludre litt med en Windows 2003 server og en klientmaskin med Win2k på. Har laget et par brukere som får logget seg på helt fint - profilmappen opprettes på serveren og alt ser tilsynelatene greit ut. Det jeg derimot fant ut senere var at administrator ikke får tilgang til profilmappen til brukerne uten å ta ownership. Jeg har lagt til en grouppolicy: "Add the Administrators security group to roaming user profiles", men det hjalp ikke det heller.

 

Noen som vet hva som gjør at det er slik?

[skille]

Du kan sjekke så Administrator brukeren er administrator over brukerne.

 

-Trond

[darkness|]

Hvordan sjekker jeg dette? Administrator er den vanlige administratorkontoen, altså computer/domain admin.

[skille]

Gå inn i datamaskinbehandling, finn brukere å grupper. Under der en plass skal du finne administrator brukeren. Legg han som administrator over de aktuelle brukerne.

 

-Trond

[darkness|]

Altså.. dette ville fungert hvis det var på en klientmaskin... men administrering av brukere og adminstratorer finnes ikke under manage på en server. Jeg bruker active directory.

 

Det spiller egentlig ikke noen rolle. Det jeg egentlig "bekymrer" meg for, er at alle brukerne nå kan mappe opp \\slave\brukere og se alle de andre sitt h:-område. Hvordan setter jeg restriksjoner på dette? Jeg har prøvd å fjerne litt tilganger, men de må jo ha tilgang til sitt eget h:-område som f.eks er \\slave\brukere\ud550

 

Ikke lett. Jeg blir gal

Endret 1. april 2005 av darkness|

[ronnyaa]

"\\slave\brukere" må ha kun creator/owner som har muligheten til å liste opp innhold i mapper.

(med forbehold om at det er NTFS på den partisjonen)

Sørg og for at undermapper arver disse egenskapene.

[darkness|]

Jeg har nå fått det til på følgende måte:

 

På rootmappen som heter (jeg skiftet navn til dette) home er det satt følgende restriksjoner:

 

Permissions: Everyone full control

Security: Administrators full control

System full control

 

Det er ingen arv fra mappene over. Brukerne får nå tilgang til sin egen hjemmekatalog (\\slave\home\ud550 f.eks), men får ikke browset rootmappen som heter home (\\slave\home).

 

Spørsmålet mitt nå er: ville dette gått dersom profilmappen lå i hjemmekatalogen? (\\slave\home\ud550\profile). Ville profilene fremdeles ha fungert fint da?

 

Jeg skal ta og teste det ut, men jeg er litt sliten i hodet akkurat nå. Jeg forstår ikke helt hva forskjellen mellom permissions og security er.

Endret 1. april 2005 av darkness|

[darkness|]

Tydeligvis fungerte det. Jippiyay. Men jeg forstår fortsatt ikke forskjellen mellom permissions og security... og jeg må fortsatt ta over ownership på profilmappen for at jeg som administrator skal kunne se den.

Endret 1. april 2005 av darkness|

[ronnyaa]

Jeg vil anbefale deg å finne noe litteratur, evt søke litt hos http://support.microsoft.com for å lære deg litt mer om NTFS rettigheter.

Permissions gjelder delt mappe, og Security gjelder mappen generelt.

Det du får ut av det blir som microsoft så fint sier :

A user's effective permissions for a resource are the sum of the NTFS permissions that you assign to the individual user account and to all of the groups to which the user belongs. If a user has Read permission for a folder and is a member of a group with Write permission for the same folder, the user has both Read and Write permissions for that folder.

Altså, setter du for strenge "regler" i security vil det med føre at brukeren ikke får tilgang.

Rettighetene er lik summen av Permissions + Security.

(ja, litt knotete forklart, har mange baller i luften samtidig her :-) )

[Tofustew]

Kjent problem, og har lite med NTFS-rettigheter å gjøre.

 

Når Windows oppretter en ny brukers profil på profilsharet så blir administrator fjernet fra tilgangslista. Sikkert gjort for å forhindre Administrator fra å snoke rundt i brukerens profil. Men som du har oppdaget blir det utrolig trælete å feilsøke og fikse problemer med profilene.

 

Her er en løsning:

Det finnes en group policy-setting kalt "Add the Administrators security group to the roaming user profile share" under \Computer Configuration\Administrative Templates\System\User Profiles. Lag en GPO og sett den. Brukere som logger inn første gang etter at GPOen er satt vil få profiler der også administrator har tilgang.

 

Mer info og gode forslag til profiloppsettet finner du i denne artikkelen hos Microsoft.

 

Lykke til!

[darkness|]

Jeg har satt på den GPO'en, men det fungerer fremdeles ikke.. Skal ta og kikke på linken du ga.

 

Takker så meget for tips.

Endret 4. april 2005 av darkness|